CVE-2026-49253

Nome do Software Vulnerável e Versões Afetadas electerm versões anteriores a 3.11.11

Descrição Um problema de traversal de caminho existe nos manipuladores de download de arquivos Zmodem e Trzsz. O software utiliza nomes de arquivos fornecidos remotamente diretamente com a função path.join() ao receber transferências, sem a devida sanitização. Um servidor SSH malicioso ou um shell remoto pode fornecer um nome de arquivo contendo componentes de traversal, como ../escaped.txt ou ../../.bashrc, permitindo que a aplicação grave arquivos fora do diretório de download selecionado pelo usuário. Isso pode levar à sobrescrita de arquivos de configuração sensíveis ou ao comprometimento da disponibilidade do sistema. O problema está presente na função prepareReceiveFile() em src/app/server/zmodem.js, bem como na função getUniqueFilePath(), no callback openSaveFile() e no mapeamento savedFilePaths em src/app/server/trzsz.js.

Recomendações Atualize para a versão 3.11.11. Conecte-se apenas a servidores SSH confiáveis. Rejeite ou cancele quaisquer transferências de arquivos Zmodem ou Trzsz recebidas de fontes não confiáveis. Evite o uso dos comandos Zmodem (sz/rz) e Trzsz (trz/tsz) em servidores não confiáveis.